Layer3 Intel обнаружила активность residential-прокси в сети AS2650, зарегистрированной на Исполнительный офис президента США, который обслуживает сеть Белого дома. Такие сервисы пропускают трафик клиентов через обычные пользовательские устройства, поэтому для внешнего сайта он выглядит как трафик из соответствующей домашней или корпоративной сети. Наблюдения собраны с помощью запущенного компанией Residential Proxy Observatory.
С 5 октября по 3 ноября 2026 года исследователи зафиксировали 236 выходов через сеть Белого дома. Они шли с шести адресов и наблюдались в 26 из 30 дней. Всего 28 публичных сервисов residential-прокси смогли направить трафик через эту сеть. Дополнительную проверку дали публичные данные Spur и Synthient: они также помечают эти адреса как точки выхода прокси. По словам Layer3, команда специально не выбирала сеть Белого дома, а обнаружила её случайно при обычных запросах глобальной ротации адресов.
Доступ к таким выходам не был закрытым: исследователи утверждают, что любой клиент мог зарегистрироваться в одном из сервисов и за несколько долларов отправить через них запросы. Однако сами наблюдения не раскрывают, какое именно устройство использовалось и кто им владел. Около половины активности пришлось на период с 17:00 до полуночи по восточному времени, а ранним утром её почти не было. Авторы считают такой график более похожим на регулярную работу человека, чем на публичный гостевой Wi-Fi, и допускают наличие proxy SDK на чьём-то устройстве.
Главный риск связан не с самой сменой внешнего IP-адреса, а с возможными уязвимостями таких SDK. Прежние исследования Synthient показали, что небезопасные прокси-компоненты могут открывать доступ во внутреннюю сеть и облегчать перемещение между системами. Synthient связывает распространение ботнета Kimwolf как минимум на двух миллионах устройств, преимущественно Android с открытым ADB, с инфраструктурой residential-прокси. Применимость конкретной уязвимости к сети Белого дома Layer3 не подтверждает.
Observatory также нашёл прокси в удалённых регионах: 413 адресов и более 32 тысяч наблюдений на Святой Елене, Вознесении и Тристан-да-Кунье, а также три наблюдения из Антарктиды через Cloudflare WARP, указывающего на станцию Мак-Мердо. Layer3 сохранила исходные журналы и предложила передать их профильным ведомствам по запросу.